CVE-2026-44598

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-44598
With valid login credentials, URL Redirection to Untrusted Site ('Open Redirect'), Server-Side Request Forgery (SSRF) vulnerability in Apache Shiro. This issue affects Apache Shiro from 2.0-alpha to 2.1.0, and 3.0.0-alpha-1, only when using shiro-jakarta-ee integration module. Users are recommended to upgrade to version 2.1.1, or 3.0.0-alpha-2 or later, which fixes the issue by encrypting the cookie. After successful login, Jakarta EE integration module uses shiroSavedRequest cookie to redirect to a particular web page after login. This cookie was not validated, and can be forged to send a HTTP GET request from the server itself to an arbitrary URL from the cookie.

5.4 /10

CVSS v3 : MEDIUM

V3 Legend

Vector :

Exploitability : 2.3 / Impact : 2.7

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required LOW

User Interaction REQUIRED

Confidentiality Impact LOW

Integrity Impact LOW

Availability Impact NONE

Scope CHANGED

References
Link Resource
https://shiro.apache.org/security-reports.html#cve_2026_44598 Vendor Advisory
http://www.openwall.com/lists/oss-security/2026/05/25/8 Mailing List Third Party Advisory
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:apache:shiro:*:*:*:*:*:*:*:*
cpe:2.3:a:apache:shiro:3.0.0:alpha1:*:*:*:*:*:*
History

24 Jul 2026, 10:10

Type Values Removed Values Added
Summary
  • (es) Con credenciales de inicio de sesión válidas, Redirección de URL a sitio no confiable ('Redirección abierta'), vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en Apache Shiro. Este problema afecta a Apache Shiro desde 2.0-alpha hasta 2.1.0, y 3.0.0-alpha-1, solo cuando se utiliza el módulo de integración shiro-jakarta-ee. Se recomienda a los usuarios actualizar a la versión 2.1.1, o 3.0.0-alpha-2 o posterior, que soluciona el problema cifrando la cookie. Después de un inicio de sesión exitoso, el módulo de integración Jakarta EE utiliza la cookie shiroSavedRequest para redirigir a una página web particular después del inicio de sesión. Esta cookie no fue validada, y puede ser falsificada para enviar una petición GET HTTP desde el propio servidor a una URL arbitraria desde la cookie.

28 May 2026, 13:44

Type Values Removed Values Added
References () https://shiro.apache.org/security-reports.html#cve_2026_44598 - () https://shiro.apache.org/security-reports.html#cve_2026_44598 - Vendor Advisory
References () http://www.openwall.com/lists/oss-security/2026/05/25/8 - () http://www.openwall.com/lists/oss-security/2026/05/25/8 - Mailing List, Third Party Advisory
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 5.4
CPE cpe:2.3:a:apache:shiro:*:*:*:*:*:*:*:*
cpe:2.3:a:apache:shiro:3.0.0:alpha1:*:*:*:*:*:*
First Time Apache
Apache shiro

25 May 2026, 22:16

Type Values Removed Values Added
New CVE
Information

Published : 2026-05-25 21:16

Updated : 2026-07-24 10:10

NVD link : CVE-2026-44598

Mitre link : CVE-2026-44598

CVE.ORG link : CVE-2026-44598

JSON object : View

Products Affected

apache

  • shiro
CWE
CWE-601

URL Redirection to Untrusted Site ('Open Redirect')

CWE-918

Server-Side Request Forgery (SSRF)